Das Schweizer E-Voting-System wird von der Post angeboten und kommt in mittlerweile vier Kantonen zum Einsatz, weitere sollen folgen. Ich persönlich bin ein entschiedener Gegner des dritten Kanals – warum das so ist, habe ich an dieser Stelle bereits erklärt. Doch darum soll es heute nicht gehen.

Verschiedenen Umfragen zufolge findet eine Mehrheit der Bevölkerung E-Voting gut. Demokratisch legitimiert ist das elektronische Abstimmen zwar noch nicht, aber wenn sich kein grosser öffentlicher Widerstand dagegen regt, dann soll E-Voting durchaus eingesetzt werden dürfen. Die Vorteile für Auslandschweizerinnen und -schweizer sowie Menschen mit Behinderung sehe ich durchaus. Aber, wenn am Computer gestimmt und gewählt wird, soll der Weg sicher sein.

Deshalb ist es ausdrücklich zu begrüssen, dass die Schweizer Post als Anbieter des Systems dieses regelmässig auf Lücken prüfen lässt. So jüngst geschehen mittels eines Bug-Bounty-Programms, dessen Ergebnisse der Gelbe Riese diese Woche präsentierte.

Kurz zusammengefasst ist die Situation laut Post wie folgt:

Diese Zahlen werfen bei mir Fragen auf.

Ich hege deshalb den Verdacht, dass es gar keine 7000 Menschen waren, die sich am Programm beteiligt haben. Eine Nachfrage bei der Post bestätigt dies indirekt: "Die Post hat Aktivität von 6’923 IP-Adressen am öffentlichen Intrusionstest verzeichnet", schreibt mir Sprecherin Silvana Grellmann auf meine Anfrage. IP-Adressen also, und nicht ethische Hacker.

Die Post hat also zum Beispiel den Google-Bot (und andere Crawler/Agents), der auf öffentliche Seiten zugreift, in ihrer Kommunikation zu Menschen gemacht. Das ist schönfärberisch, und mit diesem Urteil bin ich noch wohlwollend. Insgesamt habe die Post "78 sogenannte Beobachter und Beobachterinnen”, erklärt Grellmann. Das seien diejenigen Personen, "die bisher mindestens eine Meldung eingereicht haben" und von der Post entsprechend angeschrieben worden seien.

Wie viele davon tatsächlich mitgemacht haben, weiss die Post nicht, da die Hackerinnen und Hacker anonym bleiben, bis sie eine Meldung einreichen. Aber faktisch mitgemacht haben kaum mehr Menschen als eine hohe zweistellige Zahl. Bei einem Bug-Bounty-Programm des Spitals Thun haben zum Vergleich 75 ethische Hackerinnen und Hacker mitgemacht und 14 Reports generiert (also 3x mehr als beim Programm der Post).

Offensichtlich schön gefärbte beziehungsweise falsche Zahlen zu kommunizieren, ist keine Bagatelle. Speziell dann nicht, wenn es um ein demokratisch hoch relevantes Instrument wie E-Voting geht. Zu insinuieren, dass 7000 Hackerinnen und Hacker sich am Bug-Bounty-Programm beteiligt und es nicht geschafft haben, eine Lücke zu finden, kann Politikerinnen und Politiker sowie die Bevölkerung in falscher Sicherheit wiegen – und das ist gefährlich.

Die Post ist aber beileibe nicht das einzige Unternehmen, das mit falschen Zahlen hantiert. In zahlreichen "Studien" vieler Sicherheitsanbieter wird regelmässig von "Millionen von Cyberangriffen" gesprochen, was viele schlagzeilen-orientierte Medien dann jeweils dankbar in die Titel ihrer Artikel schreiben. (Damit sie geklickt werden, aber dies nur am Rande.)

Das Problem ist, dass es per se keine schlaue Definition für "Cyberangriff" gibt. Wann ist ein Angriff tatsächlich ein Angriff? Und wann ist es nur eine ungefährliche IP-Adresse, ein Bot oder ein Agent der bei der Website "vorbeischaut"? Das muss unterschieden werden. Der Schweizer Sicherheitsexperte Christian Folini hat das Thema vor rund einem Jahr in einer Keynote an der Insomnihack-Konferenz anschaulich erklärt.

Zurück zur Post: Trotz der wenigen Meldungen und der wohl geringen Anzahl Teilnehmenden ist man "zufrieden mit der Aktivität am vergangenen Intrusionstest", schreibt Sprecherin Grellmann. Es sei aber tatsächlich so, dass es weniger Angriffe gab als in den vorangegangenen Durchführungen. Zudem werde es schwieriger, Schwachstellen zu finden, je eingehender ein IT-System bereits geprüft worden sei. "Dies kann ethische Hacker dazu bewegen, sich andere, 'jüngere' Programme anzuschauen."